Datenschutz

Verantwortlich

Verantwortlich für die hier beschriebene Verarbeitung ist der Betreiber von Oyvo. Fragen zu deinen Daten und jedes Anliegen nach der DSGVO (Auskunft, Berichtigung, Löschung, Widerspruch) gehen an hello@oyvo.app.

Dein Konto

Du meldest dich mit Apple oder Google an. Oyvos Server behält das Konto, das er für dich angelegt hat, Name und E-Mail-Adresse aus dieser Anmeldung und ob dein Oyvo-Plus-Abo läuft, was Apples App-Store-Server als Abo-Kennung und Ablaufdatum meldet; Zahlungsdaten erreichen Oyvo nicht. Ohne Konto beantwortet die App eine Frage ohne all das. Löschst du dein Konto in den Einstellungen, werden das Konto und alles darunter gelöscht; eine neue Anmeldung danach legt ein neues an.

Was auf deinem Handy bleibt

Unterhaltungen, Erinnerungen, Erledigungen, deine Einstellungen und die Tagespläne deiner Reisen liegen auf dem Gerät. Die Fakten und Momente, die Oyvo sich merkt, werden angezeigt, wie sie behalten werden, und lassen sich in den Einstellungen löschen, einzeln oder alle auf einmal. Eine Kopie liegt verschlüsselt auf Oyvos Server, damit sie mit auf dein nächstes Handy kommt; der Server öffnet diese Kopie nur, um deinen Feed zu schreiben. Eine gelöschte Zeile ist überall gelöscht.

Was zu Oyvos Server geht

Fragen werden über Oyvos eigenen Server an den Anbieter des Sprachmodells weitergereicht, damit kein Anbieterschlüssel in der App steckt. Mit der Frage reisen die Fakten, die die Antwort brauchen kann: deine Einstellungen, was Oyvo sich merkt, offene Erledigungen und, solange eine gebuchte Reise weniger als vier Monate entfernt ist, diese Reise (wohin, wann, was gebucht ist und in welchem Stand, mit ihrem Tagesplan), damit „pack mir eine Liste für Dubai“ dein Dubai meint. Nie eine Buchungsnummer und nie ein Preis. Gezeichnete Zutatenbilder und Schrittillustrationen werden einmal erzeugt und für alle Nutzer auf dem Server gespeichert.

Was der Server von deinen Fragen behält

Fragen und Antworten laufen über Oyvos Server zum Modellanbieter und werden dort nicht gespeichert. Eine Ausnahme: Jede Antwort wird zusätzlich auf dem Server aufbewahrt, verschlüsselt mit einem Schlüssel, den nur dein Handy aufbewahrt, bis dein Handy ihren Empfang bestätigt, höchstens aber zehn Minuten nach ihrem Ende. So schreibt der Server eine Antwort, die noch geschrieben wird, wenn du Oyvo oder ihre Unterhaltung verlässt, zu Ende, und sie wartet auf dich; ‚Alle meine Daten löschen‘ entfernt sie sofort. Behalten wird ein Protokoll darüber, wie der Durchlauf lief: Zeiten, welche Fähigkeiten geladen waren, wofür er war (ein Chat, ein Browserschritt, eine Recherche), ob er scheiterte und wo, mit einem Einweg-Hashwert und einer Zeichenzahl anstelle des Textes. Der Text selbst wird nur gespeichert, wenn du das Teilen von Unterhaltungen fürs Training einschaltest; das ist aus, solange du es nicht einschaltest. Ein Durchlauf, der deine Gesundheitsdaten, ein Postfach, einen Kalender oder deine Kontakte gelesen hat, bleibt auch mit eingeschaltetem Teilen außen vor. Nutzungsdaten, die älter als neunzig Tage sind, werden gelöscht.

Was Oyvo für dich getan hat, jede gesendete Mail, jeder geänderte Eintrag, jede Buchung, jede vergessene Zeile und jedes Ja oder Nein von dir, wird mit Datum auf deinem Handy und auf Oyvos Server ein Jahr lang aufbewahrt. Es lässt sich nicht bearbeiten, nur löschen, und steht in den Einstellungen unter Daten & Datenschutz.

Morgenbriefing und Routinen

Schaltest du das Morgenbriefing ein, sendet die App dem Server einen groben Standort (auf etwa einen Kilometer gerundet), die nächsten 36 Stunden deines Kalenders, fällige Erinnerungen und offene Erledigungen. Ausschalten löscht diese Momentaufnahme. Routinen laufen mit genau den Werkzeugen, die du ihnen gegeben hast.

Der Für-dich-Feed

Schaltest du den Feed ein, schreibt Oyvos Server ihn aus den Quellen, die du erlaubst, jede hinter ihrem eigenen Schalter: was Oyvo sich merkt (die verschlüsselte Kopie oben), dein Tag (Kalender, Erinnerungen, Erledigungen) und verbundene Konten. Interessen, die du nennst, und was du ausschließt, werden verschlüsselt gespeichert. Eine Reaktion auf einen Beitrag wird behalten, um die nächsten zu formen. Eine Quelle auszuschalten beendet ihre Nutzung und verwirft, was der Feed daraus behalten hat; dein Konto zu löschen löscht den Feed.

Mail

Oyvo liest die Mail, die in einem Postfach ankommt, das du verbunden hast, die Nachricht, nicht nur die Betreffzeile. Ein Assistent kann dir nicht sagen, welche Mail dich heute Morgen braucht, ohne zu lesen, was drinsteht. Morgenbriefing und Mail-Hinweis lesen auf Oyvos Server, was am letzten Tag angekommen ist, mit dem Postfachzugang, den du erteilt hast und jederzeit widerrufen kannst. Nichts wird gespeichert: Der Text wird gelesen, um das Briefing zu schreiben, und ist mit der Anfrage weg. Nichts wird massenhaft durchsucht, kein Archiv angelegt, ältere Mail nicht angerührt. Bevor das Modell eine Mail sieht, werden Einmalcodes und Anmeldelinks daraus entfernt. Das Postfach zu trennen beendet alles und löscht den gespeicherten Zugang. Morgenbriefing und Mail-Hinweis lesen Gmail oder ein IMAP-Postfach, nicht Outlook: Ein Outlook-Postfach, verbunden über ein Microsoft-Konto, wird nur für das gelesen, was du im Chat verlangst oder einer Routine erlaubst (siehe Verbundene Konten). Im Chat wird Gmail von deinem Handy aus gelesen, ein IMAP-Postfach und ein Outlook-Postfach über Oyvos Server.

Richtest du ein Postfach über seine Adresse ein und kennt Oyvos eigene geprüfte Liste von Mailanbietern deren Domain nicht, fragt Oyvos Server Mozillas öffentliches Mailverzeichnis (autoconfig.thunderbird.net) und das DNS, über Cloudflares Resolver, welche Mailserver zu dieser Domain gehören. Dorthin geht nur die Domain, nie die Adresse und nie ein Passwort.

Seiten, die Oyvo für dich öffnet

Wenn eine Antwort von etwas abhängt, das nur eine Webseite sagen kann, oder wenn du Oyvo einen Auftrag auf einer Website gibst, öffnet Oyvo diese Seite auf seinem eigenen Server und liest sie. Die Anfrage geht aus dem Netz von Cloudflare hinaus, nicht von deinem Handy und nicht von deinem Anschluss; die Seite sieht deren Adresse, nie deine. Bevor eine Seite geöffnet wird, wird sie gegen Cloudflares Domain-Kategorien geprüft und abgelehnt, wenn sie pornografisch ist, dem Rechtsbruch dient oder von niemandem kategorisiert ist.

Jede geöffnete Seite wird protokolliert: Uhrzeit, dein Konto, der Hostname der Seite, nie die volle Adresse, die verraten würde, was du gesucht hast, und ob sie gelesen oder abgelehnt wurde. Eine gelesene Seite bleibt dreißig Tage in diesem Protokoll, eine abgelehnte sechs Monate, dann wird der Eintrag gelöscht. Löschst du dein Konto, wird es mit allem anderen gelöscht. Sollten wir je gesetzlich verpflichtet sein, eine Frage zu einer bestimmten Seite zu beantworten, wäre das, was wir herausgeben müssten: ein Konto sowie Name und E-Mail-Adresse, die uns deine Anmeldung bei Apple oder Google gegeben hat.

Aufträge auf Websites

Ein Auftrag, den du übergibst, das in den Warenkorb legen, das auf jener Seite finden, läuft als Auftrag auf Oyvos Server, gebunden an die Seiten, die er bekommen hat, bis er fertig ist oder dich braucht. Er hält an und fragt vor allem, was bezahlt, bestellt, abonniert, sendet oder zustimmt; bei einer Bank, einer Gesundheits- oder Behördenseite; bei einer Anmeldung, einem Einmalcode oder einem Bot-Check. Während er wartet, hält er die Seite für begrenzte Zeit offen, und du kannst sie ansehen und selbst darauf handeln. Den letzten Knopf, der bestellt oder bezahlt, drückt Oyvo erst, nachdem du genau diesem Druck zugestimmt hast, mit der Summe, die die Seite zeigt; Karten- oder Kontodaten tippt Oyvo nie ein.

Eine Ausnahme startest du selbst: Bittest du Oyvo, etwas zu kaufen („kauf mir …“), geht der Auftrag durch die Kassenschritte dieses Shops, etwa Warenkorb, Lieferung und Wahl der Zahlungsart, ohne bei jedem zu fragen. Vor jedem dieser Klicks holt er eine Zweitmeinung ein, ob der Klick nur ein Schritt zur Bestellung ist (siehe unten), und im Zweifel fragt er dich. Am Knopf, der bestellt, hält er trotzdem an, zeigt dir Artikel, Lieferung, Zahlungsart und Summe und drückt ihn nur auf dein Ja. Als bestellt meldet er die Bestellung erst, wenn der Shop sie mit einer Bestellnummer bestätigt. Du kannst das für einen Auftrag auf seiner Karte ausschalten.

Zeigt die Seite nach dem Bestellknopf diese Bestätigung nicht, sagt dir der Auftrag, dass unklar ist, ob die Bestellung durchging, und seine Karte bietet an, nach der Bestätigungsmail des Shops zu suchen. Erst wenn du auf „Nach der Bestätigungsmail suchen“ tippst, liest Oyvos Server Mails, die von der eigenen Adresse dieses Shops kommen: aus dem Postfach, das mit dem Server verbunden ist, die Mails des Shops ab dem Tag der Bestellung (ein Mailserver sucht nach Datum), und, wenn du Gmail verbunden hast, die Mails des Shops seit dem Druck auf den Bestellknopf, aus Gmail über dein Handy. Es zählt nur, was nach dem Druck ankam, und nur, um die Bestellbestätigung und ihre Bestellnummer zu finden. Die Mails werden für diese eine Anfrage gelesen und nicht gespeichert. Behalten wird nur die Bestellnummer, auf dem Beleg des Auftrags; von einer Mail erreicht nichts außer dieser Nummer das Modell. Auf der Seite des Shops wird dabei nichts gedrückt.

Bevor das Modell eine Seite liest, werden Kontonummern und Kartennummern daraus entfernt. Das Modell sieht den Text der Seite und eine nummerierte Liste ihrer Bedienelemente; es sieht nie den Inhalt eines Passwort-, Karten- oder Codefelds und hat keine Möglichkeit, in eines zu tippen.

Fünf Rechte bestimmen, was ein Auftrag darf: Websites besuchen, Formulare absenden, herunterladen, hochladen, gespeicherte Logins verwenden, jedes in der App auf Erlauben, Fragen oder Nie gestellt. Was du auf Nie stellst, wird auf dem Server verweigert, egal was eine Seite oder ein Auftrag sagt.

Zweitmeinungen von TypeSafe

Für drei eng umrissene Entscheidungen fragt Oyvos Server ein zweites Modell, betrieben von TypeSafe (typesafe.ai), das für jede Möglichkeit eine Wahrscheinlichkeit zurückgibt und sonst nichts.

Bei einem Kauf, den du gestartet hast (siehe oben), vor jedem Kassenschritt, der ohne Rückfrage gedrückt wird: Gesendet werden der Pfad der Seitenadresse, ihr Titel, außer er wirkt persönlich, welche Art Seite es ist, und die Beschriftungen des Knopfs und der übrigen Knöpfe auf der Seite, wobei jede Zahl außer Geldbeträgen entfernt wird. Kein Konto, kein Name aus deiner Anmeldung und nichts, was in ein Feld getippt wurde, wird gesendet.

Während ein Browser-Auftrag von dir arbeitet und du im selben Gespräch etwas sagst, ob dieser Satz für den Auftrag gemeint ist oder für Oyvo: Gesendet werden die Adresse der Website, der Auftrag, wie du ihn gestellt hast, was der Auftrag in diesem Moment tut, und dein Satz, wobei jede Zahl außer Geldbeträgen entfernt wird. Ist die Antwort nicht eindeutig „für den Auftrag“, wird der Satz eine ganz normale Frage an Oyvo. Festgehalten wird, dass ein Satz an den Auftrag ging, mit der Website und der Wahrscheinlichkeit, nicht sein Text.

Kann das Handy aus den Worten einer Frage allein nicht erkennen, welche von Oyvos Fähigkeiten sie braucht, etwa ob „ist die Rechnung schon da?“ dein Postfach meint, kann der Text dieser einen Frage gesendet werden, und sonst nichts über dich. Oyvo speichert, protokolliert und zählt diesen Text nicht.

Gespeicherte Logins

Speicherst du einen Login für eine Seite, wird er auf deinem Handy mit einem Schlüssel verschlüsselt, der nur im Schlüsselbund deines Handys existiert. Oyvos Server speichert die verschlüsselte Form, damit ein zweites Gerät von dir sie abrufen kann; lesen kann er sie nicht. Erreicht ein Auftrag eine Anmeldung und du gibst sie frei, entschlüsselt dein Handy den Login und sendet ihn einmal über eine verschlüsselte Verbindung, damit er in die Felder genau dieser Seite getippt wird, und das erst, nachdem der Server geprüft hat, dass die Seite, auf der der Browser gerade steht, die freigegebene Seite ist, über HTTPS. Die Werte werden nicht gespeichert, nicht protokolliert, nicht abgerechnet und dem Modell nie gezeigt; festgehalten wird, welche Felder ausgefüllt wurden. Du kannst jeden gespeicherten Login, oder alle, in der App löschen; die Serverkopie geht mit.

Recherche

Eine Recherche liest das öffentliche Web wie jeder andere: Sie läuft ohne dein Profil, ohne gespeicherte Logins und ohne dein Gedächtnis. Ihr Bericht wird in deine Dateien geschrieben und nennt als Quellen nur Seiten, die der Auftrag tatsächlich geöffnet hat.

Dateien und Browserprofil

Dateien, die du in Oyvo ablegst, und Berichte, die ein Auftrag für dich schreibt, liegen unter deinem Konto auf Oyvos Server (bis zu einem Gigabyte) und werden gelöscht, wenn du sie oder dein Konto löschst. Cookies, die ein Auftrag auf einer Seite sammelt, damit eine Anmeldung von einem Auftrag zum nächsten hält, werden verschlüsselt pro Konto und Seite gespeichert, nach neunzig Tagen ohne Nutzung verworfen und lassen sich in der App pro Seite vergessen. Ein Browser-Auftrag selbst läuft auf einem Rechner von Oyvos Sandbox-Anbieter in den USA: Solange er arbeitet, liegen die geöffnete Seite, was er eintippt und was er herunterlädt auf diesem Rechner, der spätestens vier Stunden nach dem Ende des Auftrags gelöscht wird. Die Cookies, die er zwischen Aufträgen behält, und die Dateien, die er mitbringt, werden in der EU gespeichert.

Geteilte Antworten

Teilst du eine Antwort als Link, wird das Bild, das dein Handy von ihr gezeichnet hat, und ihr Text, wenn du sie als Dokument teilst, unter deinem Konto auf Oyvos Server gespeichert und unter oyvo.app/s/… jedem gezeigt, der den Link hat. Der Link ist eine zufällige Kennung, die sich aus keiner anderen erraten lässt. Er gilt sieben Tage, es sei denn, du hast bis zu dreißig gewählt; du kannst ihn vorher in der App zurückziehen, und mit deinem Konto wird er gelöscht. Bis zu zwanzig Links am Tag.

Buchungen und Reisen

Hotels, Flüge und eSIMs werden über LiteAPI (liteapi.travel), Oyvos Buchungspartner, beim jeweiligen Hotel, der Fluggesellschaft oder dem Netzanbieter gebucht. Die Buchungsdaten, die du eingibst, Namen, Kontaktdaten und bei einem Flug die Passdaten der Reisenden, gehen an den Partner, um die Buchung vorzunehmen, und werden mit deiner Bestätigung unter deinem Konto auf Oyvos Server aufbewahrt, damit die Reise auf jedem deiner Geräte unter Meine Reisen steht. Passdaten, die du für den nächsten Flug behältst, liegen nur im Schlüsselbund deines Handys. Aus einem Chat heraus lässt sich eine Buchung nur stornieren, solange das nach den Bedingungen des Anbieters in diesem Moment kostenlos ist; sonst zeigt ihre eigene Seite zuerst die Kosten.

Eine gebuchte Reise bekommt einen Tagesplan. Öffnest du die Seite der Reise, sendet das Handy die Fakten der Reise an Oyvos Server, Ziel, Daten, Name, Adresse und Check-in-Zeit des Hotels, Flughäfen und Zeiten des Flugs und deine Sprache, und der Server bittet das Sprachmodell um einen Plan, der nur auf deinem Handy gespeichert wird. Der Server hält fest, dass ein Plan angefragt wurde und ob er zurückkam, nicht den Plan. Änderungen, die du im Chat verlangst („am dritten Tag lieber Strand statt Tennis“), ändern den Plan auf deinem Handy. Eine Preisbeobachtung, die du einrichtest, wiederholt dieselbe Flug- oder Hotelsuche auf Oyvos Server, mit Strecke, Daten und Reisenden der Suche und sonst nichts, und meldet sich, wenn sich der Preis bewegt; beenden kannst du sie auf der Aufgaben-Seite.

Verbundene Konten

Jira, Notion, Slack, Linear, Asana, GitHub, Canva und ein Microsoft-Konto (Outlook-Mail, Kalender und Kontakte) verbinden sich über Oyvos Server: Der Zugang, den der Dienst ausstellt, wird dort verschlüsselt gespeichert und nur für das genutzt, was du im Chat verlangst oder einer Routine erlaubst. Was jede Verbindung liest, nennen ihre Werkzeuge, Issues, Aufgaben, Seiten, Kanäle, Designs, Mails, Termine und Kontakte; was sie schreibt, ein angelegtes oder kommentiertes Issue, eine erledigte Aufgabe, eine neue Seite oder ein neues Design, eine aus Outlook gesendete Mail, ein eingetragener Termin, geschieht erst, wenn du in der Antwort auf den Knopf tippst, der es trägt. Trennen entfernt den gespeicherten Zugang und widerruft Oyvos Zugang auch bei Google, Slack, Notion, Linear, Asana, GitHub und Canva selbst; Jira und Microsoft bieten das nicht an, dort zeigt Oyvo dir die Seite, auf der du ihn widerrufst. Dein Oyvo-Konto zu löschen tut all das auf einmal.

Google (Gmail, Google Kalender, Google Kontakte, Google Tasks) und ein IMAP-Postfach verbinden sich vom Handy aus; für eine Routine, die du einrichtest, wird eine Kopie dieses Zugangs verschlüsselt auf dem Server gespeichert. Oyvo fragt jede Google-Berechtigung erst an, wenn eine Anfrage sie zum ersten Mal braucht, liest Kontakte nur, und nutzt nur die Berechtigungen, die du tatsächlich erteilt hast. Ein Werkzeugserver, den du selbst hinzufügst (ein MCP-Server), erhält die Argumente, die das Modell für seine Werkzeuge schreibt, und sonst nichts aus deiner Unterhaltung; was er damit tut, ist Sache seines Betreibers.

Apple Home

Wenn du es erlaubst, liest Oyvo die Geräte in deinem Zuhause und schaltet Lampen, Steckdosen und Thermostate oder startet eine Szene, wenn du darum bittest, auf deinem Handy über HomeKit. Es entriegelt nie eine Tür, öffnet kein Garagentor und schaltet keine Alarmanlage aus, und eine Szene, die das täte, lehnt es ab. Nichts über dein Zuhause geht von selbst an Oyvos Server; Namen und Zustände der Geräte stehen in der Antwort, die danach gefragt hat, und können wie alles in einer Unterhaltung mit deiner nächsten Frage zum Modell reisen.

Dein Standort und die Daten deines Handys

Dein Standort wird genutzt, wenn du fragst, was in deiner Nähe ist, für das Wetter, wo du bist, um einen Lauf oder Spaziergang aufzuzeichnen, und auf einer Tour, bei der das Handy Wikipedia fragt, was dort über die Umgebung steht, und die Geschichten aus diesen Artikeln geschrieben werden. Erinnerungen an Erledigungen bitten iOS, ein paar kleine Kreise um die Läden zu beobachten, in denen deine offenen Erledigungen zu erledigen sind; das Beobachten macht iOS, auf dem Handy. Kalender, Erinnerungen, Kontakte, Health, deine Fotos, die Kamera, Bewegungsdaten und das Mikrofon werden auf dem Handy gelesen, wenn eine Anfrage sie braucht, und erst, nachdem du jedes davon in iOS erlaubt hast; was du sagst, wird auf dem Handy in Text verwandelt. Gesundheitswerte und was du einträgst werden nur in Health geschrieben, wenn du das einschaltest, und für die Suche nie indexiert.

Bilder

Die Fotos auf Karten in einer Antwort schlägt dein Handy nach: Der Ort, das Gericht oder die Szene, die die Antwort nennt, geht als kurzer englischer Begriff an Unsplash, Wikipedia und Wikimedia Commons, die mit einem Bild antworten und diesen Begriff und die Adresse deines Handys sehen, nicht deine Frage. Illustrationen, die der Server zeichnet, sind für alle dieselben.

Die Seite Über dich

Die Seite Über dich wird aus einer Momentaufnahme geschrieben, die dein Handy zusammenstellt, was in deinem Kalender steht, deine Erinnerungen, deine Reisen, deine Tracker und welche Konten verbunden sind, und einmal über Oyvos Server an das Modell sendet, wenn du die Seite öffnest. Der Server behält nichts davon; das Handy behält die Seite, die zurückkam.

Kontakt

Fragen zu deinen Daten: hello@oyvo.app. In den Einstellungen unter Daten & Datenschutz kannst du alles löschen, auf deinem Handy und auf Oyvos Server.